Prawo
Bezpieczeństwo w komunikacji elektronicznej
Informacje o tragicznych wydarzeniach docierające z różnych stron świata powodują, że pojęcie bezpieczeństwa odmieniane jest przez wszystkie przypadki i w odniesieniu do siebie, własnej rodziny, ale również zadajemy sobie pytanie, czy nasze przedsiębiorstwo, miasto, kraj są bezpieczne.
Pandemia COVID-19, trzęsienie ziemi w różnych rejonach świata, wielkoobszarowe pożary, wojna w Ukrainie i spadające na I tu pojawia się pytanie:
Czy jesteśmy przygotowani na zdarzenia, które mogą zagrozić naszemu bezpieczeństwu?
Telekomunikacja a bezpieczeństwo
W świecie XXI wieku telekomunikacja jako podstawowe narzędzie do przesyłania informacji odgrywa kluczowe znaczenie w funkcjonowaniu zarówno pojedynczych osób, jak i całych społeczności.
Współczesna komunikacja elektroniczna, a telekomunikacja w szczególności, to nie tylko narzędzie wykorzystywane do przekazywania informacji między osobami fizycznymi, ale to również, a może przede wszystkim, narzędzie umożliwiające funkcjonowanie całych społeczeństw, gospodarek narodowych, a w konsekwencji gospodarki światowej.
Rozpatrując związek telekomunikacji i bezpieczeństwa, należy mieć na względzie różne płaszczyzny tej współzależności:
– bezpieczeństwo funkcjonowania telekomunikacji, to znaczy zapewnienie funkcjonowania telekomunikacji zgodnie z jej przeznaczeniem,
– bezpieczeństwo podmiotów korzystających z telekomunikacji to stan, w którym podmioty korzystające z usług telekomunikacyjnych mają gwarancje wiarygodności przesyłanej informacji oraz zapewnienia prywatności,
– wykorzystywanie telekomunikacji dla zapewnienia bezpieczeństwa, np. poprzez umożliwienie właściwym podmiotom korzystania, na ogół na zasadach preferencyjnych, z usług telekomunikacyjnych,
– wykorzystanie telekomunikacji do walki z przestępczością, wykorzystując przesyłane lub gromadzone treści i dane telekomunikacyjne do zdobywania dowodów związanych z działaniami niezgodnymi z prawem.
Powyższe zagadnienia znalazły odzwierciedlenie w przepisach prawa powszechnego zarówno krajowego, jak i unijnego, określających prawa i obowiązki przedsiębiorców komunikacji elektronicznej.
Przepisy te określają głównie obowiązki (praw niewiele) i prawie wszystkie te obowiązki realizowane muszą być na koszt przedsiębiorcy telekomunikacyjnego.
Obowiązki przedsiębiorcy telekomunikacyjnego związane z bezpieczeństwem
Przepisy prawa powszechnego, w którym określono obowiązki nakładane na przedsiębiorców telekomunikacyjnych, związane z bezpieczeństwem zawarto w kilkunastu ustawach oraz w kilkudziesięciu rozporządzeniach i, niestety, opisane są bardzo trudnym językiem prawniczym, trudnym do zrozumienia nawet przez zawodowych prawników.
Zadania i obowiązki spoczywające na przedsiębiorcy komunikacji elektronicznej:
1. Cyberbezpieczeństwo, czyli obowiązek zapewnienia bezpieczeństwa sieci, usług, danych i przekazów telekomunikacyjnych.
2. Opracowanie, uzgodnienia z właściwymi organami administracji rządowej oraz wdrożenia w przedsiębiorstwie „Planu działań przedsiębiorcy telekomunikacyjnego w sytuacjach szczególnych zagrożeń”.
3. Zapewnienie warunków prowadzenia kontroli informacji przesyłanej w sieci telekomunikacyjnej.
4. Gromadzenie, przechowywanie, zabezpieczanie, udostępnianie danych stanowiących tajemnicę telekomunikacyjną.
5. Obowiązki realizowane zgodnie z decyzjami właściwych organów administracji publicznej, w tym dotyczących zarządzania kryzysowego,
6. Inne obowiązki nakładane na przedsiębiorcę telekomunikacyjnego, takie jak zwalczanie nadużyć w komunikacji elektronicznej, zapewnienie udogodnień osobom z niepełnosprawnościami korzystającym z usług komunikacji elektronicznej.
Co powinien wykonać przedsiębiorca telekomunikacyjny, aby wypełnić obowiązki wynikające z DORA?
W pierwszej kolejności należy zidentyfikować zasoby wykorzystywane do świadczenia usług telekomunikacyjnych
na rzecz podmiotu finansowego. Zasobami tymi będą w szczególności elementy sieci telekomunikacyjnej, infrastruktura informatyczna, w której przetwarzane będą informacje podlegające prawnej ochronie, oprogramowanie, ludzie, procedury itp. Na ogół zasoby te wykorzystywane są do świadczenia usług innym podmiotom.
Identyfikując te zasoby, należy opracować wykaz zasobów oraz ocenić ich wpływ na funkcjonowanie sieci lub świadczenia usług na rzecz podmiotu finansowego.
Mając zidentyfikowane zasoby, należy w następnej kolejności przeprowadzić analizę i ocenę zagrożeń środowiskowych lub fizycznych na obszarze wykonywanej działalności gospodarczej (zagrożenia zewnętrzne).
Ponadto należy zidentyfikować zagrożenia bezpieczeństwa aktywów wykorzystywanych do przetwarzania informacji, określić wartość tych aktywów oraz zidentyfikować zagrożenia ich bezpieczeństwa, obliczyć wartości prawdopodobieństwa wystąpienia takich zagrożeń oraz skutków ich materializacji, a także ich wpływu na bezpieczeństwo i integralność wykorzystywanej infrastruktury telekomunikacyjnej, świadczonych usług, danych lub komunikatów elektronicznych.
Wyniki szacowania ryzyka stają się podstawą podjęcia działań mających na celu wybranie właściwych zabezpieczeń przed skutkami zmaterializowania się zagrożeń takich jak:
1) modyfikowanie ryzyka
2) zachowanie ryzyka określane również jako: „akceptowanie ryzyka”
3) unikanie ryzyka
4) dzielenie ryzyka.
Wybór wariantów zabezpieczeń wykonuje się na podstawie wyników szacowania ryzyka, oczekiwanego kosztu wdrożenia tych wariantów i oczekiwanych korzyści wynikających z tych wariantów.
Przepisy prawa powszechnego nakładają na przedsiębiorcę komunikacji elektronicznej również obowiązek opracowania, wdrożenia oraz stosowania zasad i procedur ochrony infrastruktury i przetwarzanych danych, zabezpieczenia dostępu do infrastruktury, monitorowania tego dostępu oraz właściwego reagowania na incydenty.
Ponadto przedsiębiorca telekomunikacyjny zapewnia monitorowanie i dokumentowanie funkcjonowania systemów informacyjnych wykorzystywanych do świadczenia usług.
Niezwykle istotne w działalności przedsiębiorcy jest zapewnienie ciągłości funkcjonowania w różnych sytuacjach, w tym w przypadku naruszenia bezpieczeństwa.
W tym celu powinien opracować, wdrożyć i stosować plan zachowania ciągłości działania.
Wyżej opisane działania powinny być udokumentowane w postaci opracowanych i wdrożonych do stosowania w przedsiębiorstwie polityk, regulaminów, instrukcji, procedur itp.
Dokumentacja ta powinna być cyklicznie przeglądana, a w razie potrzeby aktualizowana.
Szczegółowo o wyżej opisanych obowiązkach i sposobach ich realizacji będziemy pisać w kolejnych materiałach oraz prezentować na konferencjach branżowych.
Postaramy się odpowiedzieć na nurtujące telekomów pytanie: Jak tanio i skutecznie wykonać nałożone obowiązki.
Andrzej Fudala
Dariusz Fudala
SayF Sp. z o.o.
Eksperci ds. bezpieczeństwa informacji.
SayF
80-225 Gdańsk, ul. Józefa Wassowskiego 12/6
+48 663 321 901
Dariusz Fudala
kontakt@sayf.com.pl, sayf.com.pl
